A inteligência artificial generativa entrou rapidamente na rotina dos profissionais brasileiros: conforme um levantamento do ITDBr, a adoção de IA nas empresas brasileiras saltou de 20% para 59% em apenas um ano. A velocidade, no entanto, não foi acompanhada pela criação de políticas de governança. O resultado é o crescimento do chamado Shadow AI, prática em que colaboradores utilizam ferramentas de IA sem conhecimento ou autorização da organização, ampliando riscos que vão muito além do vazamento de dados.
Para Carlos Eduardo Nascimento Guimarães, gerente de Governança Corporativa da Mirante Tecnologia, o crescimento do Shadow AI representa uma mudança inédita na forma como novas tecnologias chegam ao ambiente corporativo. “Tradicionalmente, as empresas escolhiam uma tecnologia, implantavam-a e depois treinavam seus colaboradores. Com a IA aconteceu exatamente o contrário: os profissionais passaram a utilizar ferramentas antes mesmo de existir qualquer política de uso”, explica.
Segundo um estudo da Google Workspace com a IDC, 74% dos profissionais no Brasil utilizam assistentes pessoais de IA no trabalho, mas somente 30% das empresas possuem políticas claras para regulamentar esse uso. Essa inversão foi impulsionada pela facilidade de acesso às plataformas de IA, pelo ganho imediato de produtividade e pela velocidade com que novos recursos são disponibilizados. “Enquanto novas funcionalidades surgem praticamente todas as semanas, a criação de políticas corporativas costuma levar meses. Esse descompasso faz com que a governança esteja sempre correndo atrás da inovação”, diz Carlos.
Ao contrário do Shadow IT tradicional, em que o risco estava apenas na instalação de um software não homologado, o Shadow AI envolve o compartilhamento de contratos, dados de clientes, código-fonte e dados pessoais pelo navegador ou por contas pessoais de funcionários.
“Essa invisibilidade tornou-se extremamente difícil para a área de TI identificar quais ferramentas estão sendo utilizadas e quais informações foram compartilhadas. O Shadow AI ficou mais difícil de detectar do que o antigo Shadow IT justamente porque muitas integrações acontecem dentro de ferramentas já aprovadas ou via extensões de navegador”, afirma o executivo.
O risco vai além do vazamento de dados
Embora a preocupação mais comum esteja relacionada ao risco de vazamento de dados, que podem ser armazenados, processados por terceiros ou utilizados conforme os termos de uso da plataforma, Carlos afirma que os impactos do Shadow AI são mais amplos e afetam diretamente a capacidade das empresas de gerenciar seus ativos estratégicos.
Entre eles, está o risco reputacional; o descumprimento da LGPD, com a empresa podendo perder a capacidade de demonstrar conformidade perante a autoridade reguladora; a perda de propriedade intelectual, por meio da exposição inadvertida de projetos, algoritmos e estratégias comerciais; e o mais subestimado: o excesso de confiança nas respostas da IA.
Outro fenômeno que começa a chamar atenção é o chamado Shadow Knowledge. “Cada vez mais conhecimento corporativo é criado dentro de conversas em ferramentas de IA utilizadas em contas pessoais. Quando um colaborador deixa a empresa, esse conhecimento simplesmente desaparece, porque nunca foi registrado nos ambientes oficiais da organização”, afirma Carlos.
Bloquear a IA pode aumentar o problema
“As melhores práticas convergem para uma conclusão: proibir o uso de IA não funciona. Quando a empresa apenas bloqueia ferramentas, os colaboradores tendem a recorrer a contas pessoais ou alternativas gratuitas, justamente ampliando o Shadow AI”, declara Carlos.
O caminho, segundo o especialista, passa pela criação de um ambiente seguro para uso da tecnologia. “Isso inclui disponibilizar ferramentas homologadas, critérios claros sobre o uso e a classificação de dados, capacitação contínua e uma governança multidisciplinar. Dessa forma, é possível viabilizar a inovação sem abrir mão da gestão adequada dos riscos”, acredita.
Além disso, Carlos defende que o Shadow AI deixe de ser tratado apenas como um tema tecnológico e passe a integrar a gestão corporativa de riscos. “O primeiro passo é reconhecer formalmente o Shadow AI como um risco para o negócio. A partir daí, torna-se possível criar políticas, controles técnicos e mecanismos permanentes de monitoramento que permitam inovar sem abrir mão da segurança”, afirma.
Para os próximos anos, a tendência é que a governança de inteligência artificial siga um caminho semelhante ao da Segurança da Informação e da LGPD, deixando de ser uma iniciativa isolada para se tornar um componente estrutural da Governança Corporativa. Ao mesmo tempo, Carlos acredita que o Shadow AI não desaparecerá, mas deve mudar de natureza, impulsionado pela expansão de agentes autônomos e integrações com sistemas corporativos.
“O objetivo não será eliminar o Shadow AI, mas reduzir continuamente sua superfície de risco por meio de políticas, cultura, controles técnicos e monitoramento. O sucesso será medido pela capacidade da organização de inovar com segurança, transparência, conformidade e accountability”, finaliza o executivo.
